Israelsk annonsbyrå smyginstallerar spionprogram via annonsauktioner

Miljontals nätannonser från ett israeliskt annonsbyrå har fungerat som spridningskanal för spionprogram som infekterar offer utan ett enda klick. Det framgår av forskning vid Torontos universitets Citizen Lab. Byrån Discover-Tech driver en mjukvaruplattform vid namn Controlium som låter kunder massprofilera och avslöja identiteten hos nätanvändare för att sedan i smyg hacka utvalda mål med tredjeparts spionprogram. Citizen Lab bedömer att dussintals enheter hos qatariska mediehuset Al Jazeera komprometterats genom annonsörernas annonser.

Vägen in går via annonsauktionen. När en användare öppnar en webbplats hamnar deras uppgifter i en auktion som avgörs på bråkdelen av en sekund, där dussintals eller hundratals bolag automatiskt bjuder på rätten att placera en annons. Controlium skördade användares identiteter och IP-adresser genom till synes harmlösa skräddarsydda annonser — för ett digitalt spel eller en telefontjänst. För den som utsetts till mål skickade sedan en legosoldatsliknande spionprogramsfirma skadlig kod till enheten. Installationen krävde ingen interaktion, tog sekunder och skedde utan att offret märkte något.

Spionprogrammet kan ta allt som finns på en enhet — meddelanden, foton, e-post, inspelade samtal, mikrofoner som slås på i smyg. Controlium fungerar enligt Citizen Lab som en mellanhand åt tredjepartsfirmor vars mål inkluderat regeringsfunktionärer, journalister, affärsmän, aktivister, akademiker och ambassadsanställda. Discover-Techs annonser har serverats sedan 2024 till användare i Jemen, Brasilien, Mexiko och Tjeckien. Relaterad forskning från gruppen Confiant visar att de också nått användare på nätverk tillhörande myndigheter i Europa och USA, samt FN, Nato, Internationella brottmålsdomstolen och atomenergiorganet IAEA.

Det mest avslöjande med historien är inte tekniken utan incitamenten. Varje länk i kedjan är betald för att röra sig snabbt, inte för att ställa frågor. Mellanhänderna tar sin andel av varje annonsplacering, och ingen bär kostnaden för vad annonsen faktiskt åstadkommer. Det är en klassisk beredskapskostnad som ingen i kedjan har skäl att räkna på — risken ligger hos användaren, som aldrig blev tillfrågad. Rapporten beskriver ett ekosystem som "bemäktigats i massiv skala för att profilera miljontals användare och sedan i tysthet infektera mål med spionprogram utan klick". Forskaren Wolfie Christl kallar det "katastrofalt att stora annonsleverantörer och organisationer uppenbarligen varken kunde upptäcka eller förhindra bolagets illvilliga annonsverksamhet under år". Bill Marczak, en annan forskare bakom projektet, konstaterar att ryktet om att nätannonser kunde identifiera och automatiskt hacka mål funnits länge, men att "vi för första gången har konkret teknisk bevisning som visar processen i aktion".

Detta borde vara en väckarklocka även i Sverige, där SVT och andra medier själva är djupt beroende av samma programmatiska annonskedja och samma mellanhänder. Om infrastrukturen kan väpplas mot Nato och FN kan den väpplas mot vem som helst — och ingen i kedjan har haft incitament att märka det. Full omfattning av mållistorna är fortfarande okänd, uppger Citizen Lab. Discover-Tech beskriver sig som en specialiserad digital annonsbyrå och har inte svarat på förfrågningar om kommentar.